Vérifier une fuite de données email : guide pratique

Vos identifiants se sont peut-être déjà retrouvés dans une base de données piratée, sans que vous le sachiez. Bonne nouvelle : il existe des outils gratuits et fiables pour le vérifier en quelques secondes, puis reprendre le contrôle. Voici comment savoir si votre adresse email ou vos mots de passe ont été exposés, et surtout quoi faire ensuite.

Pourquoi vérifier si vos données ont fuité

Chaque année, des milliards d'identifiants sont volés lors de piratages de sites web, de boutiques en ligne ou de réseaux sociaux. Ces données — adresses email, mots de passe, parfois numéros de téléphone ou adresses — circulent ensuite sur le web, sont revendues, ou diffusées gratuitement.

Le danger principal n'est pas tant la fuite elle-même que le « credential stuffing » : les pirates testent automatiquement vos identifiants volés sur des dizaines d'autres services. Si vous réutilisez le même mot de passe partout, une seule fuite peut compromettre votre boîte mail, vos réseaux sociaux et vos comptes bancaires.

Étape 1 : Tester votre adresse email sur Have I Been Pwned

Have I Been Pwned (HIBP), littéralement « est-ce que je me suis fait avoir », est l'outil de référence créé par le chercheur en sécurité Troy Hunt.

• Rendez-vous sur haveibeenpwned.com.
• Saisissez votre adresse email dans le champ de recherche, puis cliquez sur « pwned? ».
• En quelques secondes, le site affiche soit un message vert rassurant, soit la liste rouge des fuites dans lesquelles votre email apparaît.

Pour chaque fuite, vous verrez le nom du service concerné, la date approximative et la nature des données exposées (mot de passe, date de naissance, adresse IP, etc.). Répétez l'opération pour chacune de vos adresses email, y compris les anciennes.

Étape 2 : Vérifier si vos mots de passe ont été exposés

HIBP propose une rubrique « Pwned Passwords » qui permet de tester un mot de passe sans jamais l'envoyer en clair grâce à un procédé cryptographique (le k-anonymity). Si un mot de passe que vous utilisez figure dans la base, considérez-le comme grillé et changez-le immédiatement partout où il sert.

La plupart des navigateurs et gestionnaires de mots de passe modernes intègrent désormais cette vérification automatiquement :

• Google Chrome et Microsoft Edge affichent une alerte quand un mot de passe enregistré a fuité.
• Apple (Trousseau iCloud) signale les mots de passe compromis dans Réglages.
• Les gestionnaires comme Bitwarden, 1Password ou Dashlane proposent un « rapport de sécurité ».

Étape 3 : Comparer les outils de vérification

Have I Been Pwned reste la valeur sûre, mais d'autres services existent. Méfiez-vous toutefois des sites obscurs qui réclament votre mot de passe complet : c'est un signal d'alerte.

Outil	Ce qu'il vérifie	Gratuit	À retenir
Have I Been Pwned	Email, mots de passe, domaines	Oui	La référence, indépendante et transparente
Vérification navigateur (Chrome, Edge)	Mots de passe enregistrés	Oui	Automatique, intégré à votre compte
Trousseau iCloud (Apple)	Mots de passe enregistrés	Oui	Pratique sur iPhone et Mac
Gestionnaire de mots de passe	Tous vos mots de passe stockés	Selon offre	Vue d'ensemble et alertes continues

Étape 4 : Agir immédiatement si vous êtes concerné

Découvrir son email dans une fuite n'est pas une catastrophe si vous réagissez vite. Voici les gestes prioritaires, dans l'ordre :

• Changez le mot de passe du service concerné, et de tout autre compte où vous utilisiez le même.
• Activez la double authentification (2FA) sur vos comptes importants : email, banque, réseaux sociaux. Privilégiez une application d'authentification plutôt que les SMS.
• Utilisez des mots de passe uniques pour chaque service. Un gestionnaire de mots de passe les génère et les retient à votre place.
• Surveillez votre boîte mail et vos comptes : connexions suspectes, emails de réinitialisation que vous n'avez pas demandés, prélèvements inconnus.
• Méfiez-vous des tentatives de hameçonnage : après une fuite, les escrocs ciblent souvent les adresses exposées avec des messages personnalisés.

Le vrai problème n'est jamais une fuite isolée, mais le mot de passe que vous avez réutilisé sur dix autres sites.

Adopter de bonnes habitudes durables

Vérifier ses données ne devrait pas être un geste ponctuel motivé par la panique. Intégrez-le à votre routine numérique : une vérification tous les six mois, l'activation des alertes automatiques, et surtout l'abandon définitif des mots de passe réutilisés.

Une fuite est rarement évitable de votre côté — elle dépend de la sécurité des sites où vous êtes inscrit. Mais vos conséquences, elles, sont entièrement entre vos mains. En cloisonnant vos mots de passe, vous transformez une fuite potentiellement dévastatrice en simple incident sans suite.

Cet article a une visée informative. Pour les comptes les plus sensibles (banque, administration), reportez-vous aux recommandations officielles de cybersécurité, notamment celles de cybermalveillance.gouv.fr.